Where Do Backdoors Live? A Component-Level Analysis of Backdoor Propagation in Speech Language Models

Título: Onde os Backdoors Vivem? Uma Análise de Nível de Componente da Propagação de Backdoors em Modelos de Linguagem de Fala (SLMs)

1. Problema e Motivação

Os Modelos de Linguagem de Fala (SLMs) são sistemas complexos e heterogêneos, compostos por múltiplos componentes pré-treinados (codificadores de áudio, conectores e modelos de linguagem) que trabalham juntos para realizar tarefas multimodais e multitarefa (como reconhecimento de fala, reconhecimento de emoção, idade e gênero).

• A Lacuna: A maioria dos estudos sobre backdoors (portas dos fundos) foca em sistemas unimodais ou end-to-end. Em SLMs, o fluxo de informação entre os componentes e como um backdoor se propaga através dessa cadeia é pouco compreendido.
• A Hipótese: Os autores investigam se backdoors introduzidos no áudio podem persistir, serem apagados ou propagados através dos diferentes componentes do pipeline e como eles são codificados em espaços de embeddings compartilhados em cenários de multitarefa.

2. Metodologia

Os autores utilizam uma abordagem analítica baseada em três pilares principais:

A. Configuração Experimental:

• Arquitetura: Um pipeline baseado no modelo SpeechLLM, consistindo em:
  1. Codificador de Áudio: WavLM Large (ou alternativos como HuBERT, Whisper, wav2vec 2.0).
  2. Conector: Uma rede CNN de três camadas que projeta as saídas do áudio para o espaço do LM.
  3. Modelo de Linguagem (LM): TinyLlama-1.1B-Chat, adaptado via LoRA (Low-Rank Adaptation).
• Tarefas: Reconhecimento Automático de Fala (ASR), Reconhecimento de Emoção, Predição de Idade e Predição de Gênero.
• Ataque Base: Estratégia de "rótulo sujo" (dirty-label) usando um gatilho natural (um clique de máquina de escrever de 220ms). A taxa de envenenamento varia de 5% a 7,5%.

B. Análise de Componentes (O Núcleo do Estudo):
Os autores isolam cada componente para testar três cenários de ataque:

1. Ataque de Componente Congelado (Single-Frozen): Um componente é mantido limpo (congelado) enquanto os outros são treinados com dados envenenados. Pergunta: Esconder um componente protege o pipeline?
2. Ataque de Componente Único (Single-Training): Apenas um componente é treinado com dados envenenados, enquanto os outros dois são congelados e limpos. Pergunta: Um único componente pode sustentar o backdoor sozinho?
3. Ataque de Propagação (Propagation): Um componente pré-treinado e envenenado é reutilizado em um pipeline limpo. Pergunta: Um componente contaminado pode infectar um sistema limpo?

C. Análise de Espaços de Embedding:

• Investigação da separabilidade entre amostras limpas e envenenadas no espaço de embeddings compartilhado.
• Uso de Clustering de Ativação (Activation Clustering - AC) para verificar se amostras envenenadas formam clusters distintos, uma premissa comum em defesas de filtragem.

3. Principais Contribuições e Resultados

A. Vulnerabilidade Geral e Propagação:

• Vulnerabilidade: SLMs são altamente vulneráveis a backdoors de áudio em todas as tarefas testadas (ASR, emoção, idade, gênero).
• Papel dos Componentes:
  • Codificador de Áudio: É o componente mais crítico. É o único capaz de sustentar um backdoor independentemente (Ataque 2.1). Se o codificador estiver envenenado, o backdoor persiste mesmo que o resto do pipeline seja treinado limpo.
  • Conector: Tem um papel intermediário; pode codificar novas informações (como o gatilho) durante a transformação de áudio para texto.
  • LM: Tem o menor impacto na criação do backdoor. O LM tende a traduzir informações existentes e não consegue aprender e manifestar o backdoor independentemente se os componentes anteriores estiverem limpos.
• Propagação Realista: Um componente pré-treinado envenenado (especificamente o codificador de áudio na tarefa de emoção) consegue propagar o ataque para um pipeline limpo, embora com eficácia reduzida. Isso alerta para os riscos de reutilizar componentes pré-treinados de fontes não confiáveis.

B. Dependência da Tarefa (Robustez Variável):

• A persistência do backdoor depende fortemente da tarefa:
  • Reconhecimento de Emoção: Mais robusto à propagação e menos suscetível à "apagagem" quando exposto a dados limpos posteriormente. O mapeamento áudio-emoção é menos rígido, permitindo que o backdoor coexista com o sinal benigno.
  • ASR (Reconhecimento de Fala): Mais suscetível à "apagagem". Como o ASR exige uma coerência temporal global, a exposição a dados limpos no estágio do conector tende a reescrever o comportamento, apagando o backdoor. Além disso, ataques de ASR exigem repetição do gatilho no áudio para funcionar.

C. Codificação em Embeddings Multitarefa (Falha na Separabilidade):

• Desafio à Hipótese de Separabilidade: Em sistemas de multitarefa, amostras envenenadas não formam clusters distintos e separáveis das amostras limpas no espaço de embeddings (falha do método Activation Clustering com k=2).
• Dominância de Outras Características: As características da tarefa (ex: gênero do falante) dominam o espaço de embedding, "escondendo" o sinal do backdoor. O backdoor torna-se uma característica secundária diluída entre outras informações do áudio.
• Implicação para Defesas: Defesas baseadas na premissa de que amostras envenenadas são facilmente separáveis no espaço latente podem falhar em pipelines de SLMs multitarefa.

4. Significado e Conclusão

O trabalho estabelece que os SLMs não devem ser tratados apenas como extensões de sistemas unimodais, mas como sistemas intrincados com vulnerabilidades únicas:

1. Risco na Cadeia de Suprimentos: A reutilização de componentes pré-treinados (especialmente codificadores de áudio) sem verificação de integridade é um vetor de ataque crítico, pois um único componente pode comprometer todo o sistema.
2. Complexidade da Defesa: A defesa contra backdoors em SLMs é complexa porque a eficácia da eliminação do backdoor varia drasticamente dependendo de qual componente é treinado e qual tarefa está sendo executada.
3. Limitações das Defesas Atuais: As defesas de filtragem baseadas em separabilidade de clusters (como AC) são ineficazes em ambientes de multitarefa, onde o backdoor se mistura com outras características dominantes do embedding.

Conclusão Final: O comportamento do backdoor não é definido apenas por onde ele "vive" no pipeline, mas por como ele viaja e se transforma através dos componentes. A segurança de SLMs exige uma análise de nível de componente e uma compreensão profunda de como as tarefas multitarefa afetam a codificação de informações maliciosas.